French 
English 
Dutch 
German 
FAQ : Archivage et conservation électroniques certifiés (QeArch / QPres)
L'archivage électronique certifié (QeArch) est l'approche de service de confiance définie par le règlement eIDAS visant à assurer la conservation des documents électroniques de manière juridiquement valable sur de longues périodes de conservation, grâce à des contrôles vérifiables, des mécanismes de preuve et une gouvernance claire.
Cette FAQ s'adresse aux organismes réglementés (et à leurs auditeurs, inspecteurs et équipes d'approvisionnement) qui ont besoin d'une conservation prête à l'emploi pour des documents tels que des contrats signés, des fichiers eTMF, des documents financiers et des archives d'entreprises réglementées. Les réponses font référence aux capacités de Docbyte Vault lorsque cela est pertinent.
Pour une vue d'ensemble de la solution commerciale, voir L'archivage électronique qualifié Docbyte. Pour les documents signés ou scellés, voir également préservation des signatures et sceaux numériques.
Questions fondamentales
Qu'est-ce que l'archivage électronique qualifié (QeArch) au sens du règlement eIDAS ?
QeArch Il s’agit d’un concept de service de confiance au sens du règlement (UE) n° 910/2014 (eIDAS), spécifiquement abordé à l’article 34 relatif aux services de conservation qualifiés pour les signatures électroniques qualifiées. Dans la pratique, QeArch constitue une approche fondée sur des normes visant à conserver des documents électroniques dont l’intégrité, l’authenticité, la gouvernance et l’utilisabilité à long terme sont vérifiables. Les documents restent valables lors d’audits, de litiges et d’inspections réglementaires pendant des décennies.
Quelle est la différence entre QeArch et l'archivage électronique classique ?
L'archivage classique se concentre généralement sur le stockage et la recherche. QeArch y ajoute l'acquisition contrôlée et la traçabilité, des mécanismes de preuve (contrôles d'intégrité, enregistrements de preuve, horodatages), la gouvernance (conservation, conservation à des fins juridiques, suppression justifiable), des pistes d'audit et la planification de la préservation pour garantir l'utilisabilité à long terme. QeArch est conforme aux normes eIDAS, ETSI TS 119 511/512, CEN TS 18170 et OAIS (ISO 14721). Ce n’est généralement pas le cas de l’archivage classique.
Qu'est-ce que le CEN TS 18170 et quelle est son importance ?
CEN TS 18170 est la spécification technique européenne qui fournit des exigences et des conseils pour les systèmes d'archivage électronique. Elle aborde les exigences fonctionnelles, techniques et organisationnelles des systèmes conçus pour préserver les documents électroniques ayant une valeur probante et de conformité. Pour les organisations européennes qui achètent ou évaluent des solutions d'archivage, CEN TS 18170 fournit une base de référence commune avec le cadre de services de confiance eIDAS.
Quelles sont les normes ETSI applicables à l'archivage qualifié ?
Les principales normes ETSI sont les suivantes : ETSI TS 119 511 (exigences en matière de politique et de sécurité pour les FST assurant la conservation à long terme des signatures numériques ou des données générales) et ETSI TS 119 512 (protocoles pour les services de conservation des données à long terme). L'ETSI définit également des formats de signature d'archives à long terme (CAdES-LTA (ETSI EN 319 122), XAdES-LTA (ETSI EN 319 132), PAdES-LTA et ASiC-LTA (ETSI EN 319 162)). Il s'agit de formats de conteneurs de signature électronique qui peuvent intégrer des données de validation dans le fichier signé lui-même, et qui font partie d'un écosystème de normes plus large, parallèlement à l'approche de Docbyte en matière d'enregistrement de preuves.
Qu'est-ce que l'OAIS (ISO 14721) et quel est son lien avec QeArch ?
L’OAIS (Open Archival Information System, ISO 14721) est le modèle de référence pour les systèmes de conservation numérique. Il définit les structures SIP/AIP/DIP, la planification de la conservation, le concept de « communauté désignée » ainsi que les responsabilités fonctionnelles d’une archive. QeArch s’appuie sur les concepts de l’OAIS. Une archive compatible avec QeArch est essentiellement un système conforme à l’OAIS, doté de contrôles supplémentaires en matière de services de confiance pour les preuves, les horodatages et la gouvernance, tels qu’exigés par l’eIDAS.
Questions techniques
Qu'est-ce que la préservation qualifiée (QPres) et quand est-elle nécessaire ?
QPres constitue la couche de preuve et de renouvellement nécessaire lorsque les documents comportent des signatures électroniques ou des cachets électroniques et qu’une vérifiabilité à long terme est requise. QeArch fournit le cadre d’archivage ; QPres traite spécifiquement de la manière de prolonger la validité de la preuve et du rapport de validation. Lors de l’ingestion, QPres capture l’état de validation de la signature ou du sceau : la chaîne de certificats, le statut de révocation (OCSP) et un horodatage qualifié. Cet enregistrement de preuve est stocké aux côtés du document archivé. Avant que les algorithmes ou les certificats ne risquent d’expirer, QPres renouvelle de manière proactive la chaîne de preuves, prolongeant ainsi sa validité sans modifier le document signé d’origine.
Que se passe-t-il lorsque les certificats expirent ?
En l'absence d'enregistrements de preuves, un enregistrement signé peut devenir invérifiable après l'expiration de son certificat. Une approche QPres capture les preuves de validation (chaînes de certificats, réponses OCSP, horodatages qualifiés) à un moment où tout est encore valide, stocke ces preuves avec l'enregistrement archivé en tant que rapport de validation et enregistrement de preuve, et renouvelle la chaîne de preuves avant qu'elle ne risque d'expirer. Cela permet de maintenir une chaîne de confiance ininterrompue pendant toute la durée de conservation.
Les signatures et les sceaux électroniques sont-ils "sûrs" si je me contente de stocker le PDF ?
Stocker le PDF en toute sécurité est nécessaire mais pas suffisant. Avec le temps : les certificats expirent, les algorithmes cryptographiques sont obsolètes, un contexte manquant ou des preuves incomplètes affaiblissent ce que vous pouvez prouver. QPres répond à tous ces problèmes en préservant les preuves nécessaires à la validation future, et pas seulement les octets du fichier. Cette distinction est essentielle pour les documents réglementés dont la durée de conservation est longue.
Qu'est-ce qu'un dossier de preuves et pourquoi est-il important ?
Les enregistrements de preuves sont des ensembles structurés qui capturent l'état de validation d'un enregistrement signé/scellé à un moment précis : la chaîne de certificats, l'état de révocation (OCSP/CRL), les horodatages qualifiés et le résultat de la validation de la signature. Ils sont intégrés dans des formats d'archivage à long terme ou stockés avec le document. En l'absence d'enregistrements de preuves, la validation future dépend de l'accessibilité de l'infrastructure d'origine (autorités de certification, services OCSP). Ce ne sera peut-être plus le cas après 10 à 25 ans.
Quelle est la différence entre la conservation numérique et QeArch ?
La conservation numérique (OAIS) met l’accent sur l’utilisabilité et l’intégrité à long terme : elle vise à garantir que les documents restent lisibles, authentiques et accessibles au fil du temps, notamment grâce à la migration de formats et au contrôle de l’inaltérabilité. QeArch ajoute la couche de services de confiance : documents probatoires, horodatages qualifiés, contrôles conformes à l’eIDAS et gouvernance conforme à la norme CEN TS 18170. Pour les documents ne comportant pas de signatures électroniques, la conservation numérique seule peut s’avérer suffisante. Pour les documents comportant des signatures ou des cachets, QeArch/QPres ajoute la couche de preuve juridiquement défendable.
Questions de gouvernance et de conformité
Quel est le lien entre QeArch et le RGPD ?
Le RGPD et QeArch répondent à des obligations complémentaires. Le RGPD exige une base légale pour la conservation des données, la minimisation des données, la limitation de la finalité et le droit à l’effacement. QeArch fournit les contrôles nécessaires à une conservation et à une suppression justifiables : il permet de démontrer que les documents ont été conservés pendant la durée appropriée, conformément à la politique en vigueur, avec les autorisations requises, et qu’ils ont été supprimés lorsqu’ils n’étaient plus nécessaires. Une archive certifiée doit répondre à ces deux obligations.
Comment fonctionne la conservation dans un archive qualifié ?
Les règles de conservation sont basées sur des politiques et appliquées de manière cohérente à tous les types de documents. Les mises en suspens légales permettent de suspendre la suppression lorsque les documents font l'objet d'une enquête, d'un litige ou d'une procédure judiciaire, avec une traçabilité complète des décisions de mise en suspens, des personnes qui les ont appliquées et de la date à laquelle elles ont été levées. La suppression défendable signifie que vous pouvez prouver ce qui a été supprimé, quand, par qui, sous quelle politique et avec quelles approbations.
Quelles sont les réglementations sectorielles qui exigent l'utilisation de QeArch ou d'un système d'archivage équivalent ?
Les principales réglementations sont les suivantes : MiFID II / MiFIR (dossiers financiers jusqu'à 7 ans), DORA (gestion des dossiers TIC), ICH E6 R2/R3 et FDA 21 CFR Part 11 (dossiers cliniques jusqu'à 25 ans, exigences ALCOA+), Annexe 11 de l'UE / GxP (dossiers électroniques dans la fabrication réglementée), GDPR (conservation et effacement légaux), et législation nationale sur l'archivage (y compris la loi belge sur l'e-Archive). Les contrôles exacts requis dépendent de la réglementation, de la juridiction et du cas d'utilisation.
Comment le modèle QeArch s'applique-t-il aux dossiers du domaine des sciences de la vie (eTMF, GxP) ?
Les documents relatifs aux sciences de la vie (dossiers maîtres d’essai, dossiers de lot, documentation de validation, cahiers de laboratoire) doivent respecter les principes ALCOA+ (attribuables, lisibles, contemporains, originaux, exacts) et rester accessibles et vérifiables pendant au moins 25 ans. QeArch fournit le cadre nécessaire à l’archivage de ces documents avec un contexte complet, des preuves d’intégrité et des pistes d’audit. QPres est particulièrement adapté lorsque les documents comportent des signatures électroniques ou des cachets conformément à la norme FDA 21 CFR Partie 11 ou à l’annexe 11 de l’UE.
Questions pratiques
QeArch garantit-il la recevabilité juridique devant les tribunaux ?
QeArch garantit la meilleure position possible en matière de défendabilité juridique en fournissant des contrôles vérifiables, des enregistrements de preuves, une documentation relative à la chaîne de conservation et des pistes d'audit conformes aux normes eIDAS, ETSI, CEN TS 18170 et aux normes applicables. Les effets juridiques précis dépendent de la juridiction, du cas d’utilisation et de la manière dont les preuves sont évaluées dans le contexte juridique concerné. Docbyte conçoit ses solutions dans un souci de défendabilité, et non pour offrir des garanties absolues d’admissibilité. Aucun prestataire ne peut garantir cela.
Quels types de documents tirent le meilleur parti de QeArch ?
Documents soumis à de longs délais de conservation, à des exigences de preuve ou à des signatures/sceaux électroniques : contrats et avenants, factures et documents financiers, dossiers relatifs aux ressources humaines et à l'emploi, dossiers d'assurance et de souscription, décisions et autorisations du secteur public, dossiers d'essais cliniques (eTMF), collections patrimoniales, archives des demandes de retraite, et tout document utilisé pour démontrer la conformité à la réglementation.
Pouvons-nous exporter des données pour des audits, des migrations ou des changements de fournisseur ?
Oui. Le conditionnement basé sur des normes (E-ARK SIP/AIP/DIP) et les capacités d'exportation permettent une récupération contrôlée des documents avec leur contexte complet, leurs métadonnées et leurs éléments de preuve. Cela permet de faciliter l'audit, l'eDiscovery et de réduire le risque de verrouillage des fournisseurs. Une archive qualifiée ne doit pas créer de situation d'otage des données.
Comment les auditeurs et les régulateurs accèdent-ils aux documents archivés ?
Grâce à un accès contrôlé, en lecture seule, avec des autorisations basées sur les rôles, une limitation de l'objectif, des autorisations limitées dans le temps si nécessaire, et des journaux d'audit complets. Les modèles d'accès externe permettent aux régulateurs, aux inspecteurs et aux auditeurs externes d'examiner les documents sans accéder aux systèmes opérationnels ou à l'infrastructure interne.
QeArch s'applique-t-il en dehors de l'UE ?
Le cadre eIDAS est spécifique à l’Union européenne, mais les contrôles sous-jacents (intégrité, authenticité, auditabilité, conservabilité à long terme) sont reconnus à l’échelle mondiale. Les normes OAIS (ISO 14721), ISO 14641, PREMIS et E-ARK sont utilisées à l’échelle internationale. Pour les organisations exerçant des activités à l’échelle mondiale, QeArch assure la conformité aux exigences de l’Union européenne, tandis que l’architecture basée sur OAIS répond à des exigences internationales plus larges en matière de conservation.
Prochaine étape
Si vous souhaitez associer les contrôles QeArch et QPres à vos types de documents spécifiques, à vos obligations de conservation et à votre contexte réglementaire, demandez à organiser une brève session avec un spécialiste de Docbyte. Docbyte Vault est conçu comme un cycle de vie de conservation conforme à l'OAIS et compatible avec l'eIDAS, et non comme une simple couche de stockage.